Kurumsal ağların çoğunda bir duvar prizine takılan herhangi bir cihaz ağa erişebilir. Ziyaretçinin dizüstü bilgisayarı, personelin kişisel telefonu, kim tarafından takıldığı bilinmeyen bir kablosuz modem veya güvenlik kamerası kılığında bir cihaz: hepsi aynı ağa dahil olur. Ağ erişim kontrolü (NAC – Network Access Control), ağa kimin ve neyin bağlandığını görmeyi ve buna göre erişim vermeyi sağlar.
NAC ne yapar?
- Görünürlük: Kablolu, kablosuz ve VPN üzerinden bağlanan tüm cihazları envanterler: kim, hangi cihaz, hangi portta, ne zamandan beri.
- Kimlik doğrulama: Kullanıcıyı ve cihazı ağa almadan önce doğrular.
- Yetkilendirme: Doğrulanan kullanıcıyı veya cihazı rolüne uygun ağ segmentine (VLAN) yerleştirir, erişim listesi uygular.
- Uyumluluk kontrolü: Antivirüsü güncel olmayan veya güvenlik politikasına uymayan cihazları kısıtlı bir ağa alır.
- Otomatik müdahale: Firewall veya güvenlik sistemleri bir tehdit tespit ettiğinde ilgili cihazı ağdan izole eder.
Temel kavramlar: 802.1X, RADIUS ve MAB
802.1X
802.1X, cihazın ağa erişmeden önce kimlik doğrulaması yapmasını sağlayan standarttır. Switch veya AP, kimlik bilgilerini RADIUS sunucusuna iletir; doğrulama başarılı olursa port açılır. En güvenli yöntem, kullanıcı şifresi yerine dijital sertifika kullanan EAP-TLS’tir. Kullanıcı adı ve şifreyle çalışan PEAP daha kolay kurulur ancak sertifika doğrulaması doğru yapılandırılmalıdır.
RADIUS
Kimlik doğrulama kararını veren sunucudur. NAC çözümleri (FortiNAC, Cisco ISE, Aruba ClearPass) RADIUS işlevini, Active Directory entegrasyonu ve politika motoruyla birlikte sunar.
MAB (MAC tabanlı doğrulama)
Yazıcı, IP telefon, kamera ve tıbbi cihaz gibi 802.1X desteklemeyen cihazlar MAC adresleriyle tanınır. MAC adresi kolayca taklit edilebildiği için MAB, cihaz profilleme ile birlikte kullanılmalıdır: Cihazın DHCP, ağ davranışı ve iletişim desenlerinden gerçekten bir yazıcı olup olmadığı anlaşılır.
Hangi kurumlar için NAC kritik?
- Hastaneler: Tıbbi cihazların, personelin ve hasta/ziyaretçi cihazlarının aynı binada ayrı tutulması gerekir.
- Üniversiteler: Binlerce öğrenci cihazı, eduroam erişimi ve araştırma ağları bir arada yönetilir.
- Fabrikalar: Üretim ağına yetkisiz cihaz bağlanması üretimi durdurabilir.
- Kamu ve finans: Denetim ve uyum gereksinimleri kim nereye bağlandı sorusunun kanıtlanmasını ister.
- Çok şubeli yapılar: Şubelerde fiziksel güvenliğin zayıf olduğu noktalarda yetkisiz bağlantı riski yüksektir.
BYOD ve misafir erişimi
Çalışanların kişisel cihazlarıyla (BYOD) çalışması kaçınılmazdır. NAC ile kişisel cihazlar kurumsal cihazlardan ayrı tanınır; yalnızca e-posta ve belirli uygulamalara erişebilen bir segmente alınır. Misafirler ise sponsor onaylı veya SMS doğrulamalı bir portal üzerinden yalnızca internet erişimi alır. Misafir erişiminin yasal kayıt boyutu için 5651 loglama rehberimize bakabilirsiniz.
Aşamalı uygulama: kesinti yaratmadan NAC
NAC projelerinin başarısız olmasının en büyük nedeni, engellemenin ilk gün açılmasıdır. Doğru yol aşamalı ilerlemektir:
- Keşif ve envanter: NAC yalnızca izleme modunda çalışır; ağdaki tüm cihazlar ve türleri listelenir. Bu aşama çoğu kurumda bilinmeyen cihazları ortaya çıkarır.
- Politika tasarımı: Kullanıcı rolleri (personel, yönetici, misafir, yüklenici) ve cihaz grupları (yazıcı, kamera, tıbbi cihaz, OT) için segmentler ve erişim kuralları belirlenir.
- Pilot: Bir kat veya bir bina üzerinde kimlik doğrulama açılır, ancak başarısız doğrulamalar engellenmez, kısıtlı bir ağa alınır.
- Yaygınlaştırma: Pilot sonuçlarıyla politikalar düzeltilir, uygulama bina bina genişletilir.
- Tam uygulama: Tanınmayan cihazlar engellenir veya karantina ağına alınır; firewall ve uç nokta güvenliği ile otomatik müdahale entegre edilir.
Hangi NAC çözümü?
| Çözüm | Öne çıkan yönü |
|---|---|
| FortiNAC | Fortinet güvenlik yapısıyla (FortiGate, FortiSwitch, FortiAP) sıkı entegrasyon; çok markalı ağlarda cihaz görünürlüğü ve otomatik müdahale. |
| Cisco ISE | Cisco altyapılarında kapsamlı politika yönetimi, profilleme ve TrustSec ile segmentasyon. |
| HPE Aruba ClearPass | Çok markalı ortamlarda güçlü misafir ve BYOD yönetimi; Aruba altyapılarıyla doğal uyum. |
Seçim; mevcut switch ve kablosuz altyapı, firewall markası, cihaz çeşitliliği ve IT ekibinin işletme kapasitesine göre yapılır.
F2 yaklaşımı: NAC projelerine izleme moduyla başlıyor, envanter raporuyla politikaları birlikte tasarlıyor ve uygulamayı bina bina genişletiyoruz. FortiNAC, Cisco ISE ve HPE Aruba ClearPass ile; kablosuz, switch ve firewall katmanlarını aynı projede uyumlu hale getiriyoruz.
